sys.database_permissions (Transact-SQL)

Se aplica a:SQL ServerAzure SQL DatabaseInstancia administrada de Azure SQLAzure Synapse AnalyticsAnalytics Platform System (PDW)Punto de conexión de SQL Analytics en Microsoft FabricAlmacén en Microsoft FabricBase de datos SQL en Microsoft Fabric

Devuelve una fila por cada permiso o permiso de excepción de columnas en la base de datos. En las columnas, hay una fila por cada permiso que sea diferente del permiso de objeto correspondiente. Si el permiso de columna es el mismo que el permiso de objeto correspondiente, no hay fila para este permiso y se aplicará el permiso del objeto.

Permisos de base de datos

Los siguientes tipos de permisos son posibles.

REVOKE y permisos de excepción en columnas

En la mayoría de los casos, el REVOKE comando eliminará la GRANT entrada o DENY de sys.database_permissions.

Sin embargo, es posible GRANT o DENY permisos sobre un objeto y luego REVOKE ese permiso sobre una columna. Este permiso de excepción en columna aparecerá como REVOKE en sys.database_permissions. Tenga en cuenta el ejemplo siguiente:

GRANT SELECT ON Person.Person TO [Sales];

REVOKE SELECT ON Person.Person(AdditionalContactInfo) FROM [Sales];

Estos permisos aparecerán en sys.database_permissions como uno GRANT (en la tabla) y otro REVOKE (en la columna).

Permissions

Cualquier usuario puede ver sus propios permisos. Para ver permisos para otros usuarios, se requiere VIEW DEFINICIÓN, ALTERAR CUALQUIER USER, o cualquier permiso sobre un usuario. Para ver roles definidos por el usuario, se requiere ALTERAR CUALQUIER ROLE, o pertenecer al rol (como público).

La visibilidad de los metadatos en las vistas de catálogo se limita a los elementos protegibles y que son propiedad de un usuario o sobre los que el usuario ha recibido algún permiso. Para obtener más información, consulte Metadata Visibility Configuration.

Examples

A. Enumerar todos los permisos de las entidades de seguridad de base de datos

La consulta siguiente enumera los permisos que se otorgan o deniegan específicamente a las entidades de seguridad de base de datos.

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name  
FROM sys.database_principals AS pr  
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id;  

B. Enumeración de permisos en objetos de esquema dentro de una base de datos

La consulta siguiente combina sys.database_principals y a sys.objects y sys.schemas para enumerar los permisos concedidossys.database_permissions

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1;

C. Enumeración de permisos para un objeto específico

Puede usar el ejemplo anterior para consultar permisos específicos de un único objeto de base de datos.

Por ejemplo, considere los siguientes permisos pormenorizados concedidos a un usuario test de base de datos de la base de datos deAdventureWorksDW2025ejemplo :

GRANT SELECT ON dbo.vAssocSeqOrders TO [test];

Busque los permisos granulares asignados a dbo.vAssocSeqOrders:

SELECT pr.principal_id
    ,pr.name
    ,pr.type_desc
    ,pr.authentication_type_desc
    ,pe.state_desc
    ,pe.permission_name
    ,s.name + '.' + o.name AS ObjectName
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe ON pe.grantee_principal_id = pr.principal_id
INNER JOIN sys.objects AS o ON pe.major_id = o.object_id
INNER JOIN sys.schemas AS s ON o.schema_id = s.schema_id
WHERE pe.class = 1
    AND o.name = 'vAssocSeqOrders'
    AND s.name = 'dbo';

Devuelve la salida:

principal_id    name    type_desc    authentication_type_desc    state_desc    permission_name    ObjectName
5    test    SQL_USER    INSTANCE    GRANT    SELECT    dbo.vAssocSeqOrders

Consulte también

• Securables
• Jerarquía de permisos (motor de base de datos)
• Vistas de catálogo de seguridad (Transact-SQL)
• Vistas de catálogo (Transact-SQL)

Pasos siguientes

• Conceder un permiso a una entidad de seguridad
• GRANT (Transact-SQL)